Privacidade

Junta o registo de atividades de tratamento do RGPD (art. 30.º), pré-preenchido pelo catálogo, os dados guardados além do prazo de conservação e os pedidos de titulares, com a procura do titular nas fontes. Só os administradores do workspace a veem.

O que podes fazer

Rever o «Registo de atividades de tratamento»: uma atividade por domínio, com as categorias de dados e os datasets que vêm do catálogo (as categorias especiais do art. 9.º ficam destacadas) e a finalidade pré-preenchida da descrição do domínio.
Editar cada atividade para declarar as finalidades, a base legal, as categorias de titulares, os destinatários, as transferências internacionais, o prazo de conservação, as medidas de segurança e o responsável pelo tratamento. Sem prazo na atividade, vale o da política de dados, se houver.
Exportar o registo em CSV ou JSON e ver os datasets com dados pessoais que ainda não estão num domínio e, por isso, ficam fora do registo.
Ver em «Deriva do RoPA» onde o catálogo se afasta do registo, com a idade de cada desvio: colunas com dados pessoais em datasets fora de qualquer atividade e destinos (datasets, exposures, agentes) que a linhagem mostra e a atividade não declara. Associar o dataset a uma atividade, declarar o destino como destinatário ou justificar; «Verificar agora» compara outra vez. Cada desvio aberto é também uma tarefa tua em «As minhas tarefas».
Mudar a finalidade ou a base legal já declaradas de uma atividade: a mudança fica à espera de aprovação, na atividade, e outra pessoa do fluxo decide-a em «As minhas tarefas». Quem pediu não a decide; sem mais ninguém que o faça, como num workspace com um só admin, «Retirar pedido» cancela-a e podes voltar a propor.
Ver em «Conservação» os datasets cujo registo mais antigo, pela coluna de última atividade do perfil, passa o prazo, os que ficam por medir, com o motivo, e quantos datasets com dados pessoais não têm prazo declarado.
Registar os «Pedidos de titulares» (tipo, jurisdição, data de receção e referência) e acompanhar o prazo da jurisdição de cada um, com os dias que faltam ou o atraso.
Dar os passos de cada pedido em «Ações»: concluir com o resultado, acusar a receção, prorrogar o prazo uma vez, dentro do prazo inicial, onde a lei o prevê, e pausar com o motivo ou retomar. Onde a lei para o relógio, como no Reino Unido, o prazo para durante a pausa.
«Procurar o titular nas fontes» pelo email, NIF, telefone, documento ou IBAN: a resposta diz em que dataset e coluna o valor aparece e em quantas linhas, nunca os valores, o que ficou por verificar e as colunas lidas só em parte (um ficheiro acima do teto de leitura ou uma janela de partições).

Ver também

Mapa de PII — onde vivem os dados pessoais que alimentam o registo.
Datasets — cria os domínios e junta-lhes os datasets.
Auditoria — cada atividade alterada e cada procura de um titular ficam registadas.

English

Privacy

Brings together the GDPR record of processing activities (Art. 30), pre-filled from the catalogue, the data kept beyond its retention period and the data subject requests, with the search for a data subject across the sources. Only workspace admins can see it.

What you can do

Review the “Record of processing activities”: one activity per domain, with the data categories and the datasets that come from the catalogue (the special categories of Art. 9 are highlighted) and the purpose pre-filled from the domain description.
Edit each activity to declare the purposes, the legal basis, the data subject categories, the recipients, the international transfers, the retention period, the security measures and the controller. With no period in the activity, the data policy’s period applies, if there is one.
Export the record as CSV or JSON and see the datasets with personal data that are not in a domain yet and so stay outside the record.
See under “RoPA drift” where the catalogue drifts away from the record, with the age of each deviation: columns with personal data in datasets outside any activity and destinations (datasets, exposures, agents) that the lineage shows and the activity does not declare. Associate the dataset with an activity, declare the destination as a recipient or justify it; “Check now” compares again. Each open deviation is also a task of yours in “My tasks”.
Change the purpose or the legal basis already declared in an activity: the change waits for approval, on the activity, and someone else in the workflow decides it in “My tasks”. Whoever asked does not decide it; with no one else to do so, as in a workspace with a single admin, “Withdraw request” cancels it and you can propose again.
See under “Retention” the datasets whose oldest record, by the profile’s last-activity column, is past the period, the ones not measured yet, with the reason, and how many datasets with personal data have no declared period.
Record the “Data subject requests” (type, jurisdiction, date received and reference) and follow each one’s jurisdiction deadline, with the days left or overdue.
Take each request’s steps under “Actions”: complete it with the outcome, acknowledge receipt, extend the deadline once, within the initial deadline, where the law provides for it, and pause it with the reason or resume it. Where the law stops the clock, as in the UK, the deadline stops during the pause.
“Find the data subject in the sources” by email, tax ID, phone, document or IBAN: the answer says in which dataset and column the value appears and in how many rows, never the values, what was not checked and the columns read only in part (a file above the read cap or a partition window).